270 ആയിരം പ്രോജക്റ്റുകളിൽ ഉപയോഗിച്ചിരിക്കുന്ന നോഡ്-നെറ്റ്മാസ്ക് NPM പാക്കേജിലെ കേടുപാടുകൾ

നോഡ്-നെറ്റ്മാസ്ക് NPM പാക്കേജിന്, ആഴ്ചയിൽ ഏകദേശം 3 ദശലക്ഷം ഡൗൺലോഡുകൾ ഉണ്ട്, കൂടാതെ GitHub-ലെ 270-ലധികം പ്രോജക്റ്റുകളുടെ ആശ്രിതത്വമായി ഉപയോഗിക്കുന്നു, നെറ്റ്മാസ്ക് ഉപയോഗിക്കുന്ന പരിശോധനകൾ മറികടക്കാൻ അനുവദിക്കുന്ന ഒരു ദുർബലത (CVE-2021-28918) ഉണ്ട്. അഡ്രസ് ശ്രേണികളിലേക്കോ ഫിൽട്ടറിംഗിനോ ഉള്ള സംഭവം നിർണ്ണയിക്കാൻ. നോഡ്-നെറ്റ്മാസ്ക് 2.0.0-ന്റെ റിലീസിൽ പ്രശ്നം പരിഹരിച്ചു.

ആന്തരിക നെറ്റ്‌വർക്കിൽ നിന്നും തിരിച്ചും ഒരു ബാഹ്യ ഐപി വിലാസത്തെ ഒരു വിലാസമായി കണക്കാക്കുന്നത് ഈ അപകടസാധ്യത സാധ്യമാക്കുന്നു, കൂടാതെ ആപ്ലിക്കേഷനിലെ നോഡ്-നെറ്റ്മാസ്ക് മൊഡ്യൂൾ ഉപയോഗിച്ച് എസ്എസ്ആർഎഫ് (സെർവർ-സൈഡ് അഭ്യർത്ഥന വ്യാജം), ആർഎഫ്ഐ നടപ്പിലാക്കുന്നതിനുള്ള ഒരു നിശ്ചിത ലോജിക്കിനൊപ്പം. (റിമോട്ട് ഫയൽ ഉൾപ്പെടുത്തൽ) കൂടാതെ LFI (ലോക്കൽ ഫയൽ ഉൾപ്പെടുത്തൽ) ആക്രമണങ്ങൾ ) ആന്തരിക നെറ്റ്‌വർക്കിലെ ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യുന്നതിനും എക്‌സിക്യൂഷൻ ചെയിനിൽ ബാഹ്യ അല്ലെങ്കിൽ പ്രാദേശിക ഫയലുകൾ ഉൾപ്പെടുത്തുന്നതിനും. സ്പെസിഫിക്കേഷൻ അനുസരിച്ച്, പൂജ്യത്തിൽ ആരംഭിക്കുന്ന വിലാസ സ്ട്രിംഗ് മൂല്യങ്ങൾ ഒക്ടൽ നമ്പറുകളായി വ്യാഖ്യാനിക്കണം, എന്നാൽ നോഡ്-നെറ്റ്മാസ്ക് മൊഡ്യൂൾ ഇത് കണക്കിലെടുക്കാതെ ദശാംശ സംഖ്യകളായി കണക്കാക്കുന്നു എന്നതാണ് പ്രശ്നം.

ഉദാഹരണത്തിന്, "0177.0.0.1" എന്നതിന് അനുയോജ്യമായ "127.0.0.1" എന്ന മൂല്യം വ്യക്തമാക്കിക്കൊണ്ട് ഒരു ആക്രമണകാരിക്ക് ഒരു പ്രാദേശിക ഉറവിടം അഭ്യർത്ഥിക്കാം, എന്നാൽ "നോഡ്-നെറ്റ്മാസ്ക്" മൊഡ്യൂൾ ശൂന്യത നിരസിക്കുകയും 0177.0.0.1″ എന്ന് പരിഗണിക്കുകയും ചെയ്യും " 177.0.0.1", ആക്സസ് നിയമങ്ങൾ വിലയിരുത്തുമ്പോൾ ആപ്ലിക്കേഷനിൽ, "127.0.0.1" ഉപയോഗിച്ച് ഐഡന്റിറ്റി നിർണ്ണയിക്കാൻ കഴിയില്ല. അതുപോലെ, ഒരു ആക്രമണകാരിക്ക് "0127.0.0.1" എന്ന വിലാസം വ്യക്തമാക്കാൻ കഴിയും, അത് "87.0.0.1" ന് സമാനമായിരിക്കണം, എന്നാൽ "നോഡ്-നെറ്റ്മാസ്ക്" മൊഡ്യൂളിൽ "127.0.0.1" ആയി കണക്കാക്കും. അതുപോലെ, "012.0.0.1" ("10.0.0.1" ന് തുല്യമായത്, എന്നാൽ ചെക്ക് സമയത്ത് 12.0.0.1 ആയി പ്രോസസ്സ് ചെയ്യപ്പെടും) പോലുള്ള മൂല്യങ്ങൾ വ്യക്തമാക്കി ഇൻട്രാനെറ്റ് വിലാസങ്ങളിലേക്കുള്ള ആക്‌സസിനായുള്ള പരിശോധന നിങ്ങൾക്ക് വഞ്ചിക്കാം.

പ്രശ്നം തിരിച്ചറിഞ്ഞ ഗവേഷകർ ഇതിനെ ദുരന്തം എന്ന് വിളിക്കുകയും നിരവധി ആക്രമണ സാഹചര്യങ്ങൾ ഉദ്ധരിക്കുകയും ചെയ്യുന്നു, പക്ഷേ അവയിൽ മിക്കതും അനുമാനാത്മകമായി കാണപ്പെടുന്നു. ഉദാഹരണത്തിന്, പാരാമീറ്ററുകൾ അല്ലെങ്കിൽ ഇൻപുട്ട് അഭ്യർത്ഥന ഡാറ്റ അടിസ്ഥാനമാക്കി ഒരു ഉറവിടം അഭ്യർത്ഥിക്കുന്നതിന് ബാഹ്യ കണക്ഷനുകൾ സ്ഥാപിക്കുന്ന ഒരു Node.js-അധിഷ്ഠിത ആപ്ലിക്കേഷനെ ആക്രമിക്കാനുള്ള സാധ്യത അവർ പരാമർശിക്കുന്നു, പക്ഷേ അവർ നിർദ്ദിഷ്ട ആപ്ലിക്കേഷന്റെ പേര് നൽകുകയോ വിശദാംശങ്ങൾ നൽകുകയോ ചെയ്യുന്നില്ല. ഇൻപുട്ടിനെ അടിസ്ഥാനമാക്കി ഉറവിടങ്ങൾ ഡൗൺലോഡ് ചെയ്യുന്ന ആപ്ലിക്കേഷനുകൾ അവർ കണ്ടെത്തിയാലും ഐപി വിലാസങ്ങൾ, ഒരു ലോക്കൽ നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാതെയോ "മിറർ ചെയ്ത" ഐപി വിലാസങ്ങളിൽ നിയന്ത്രണം നേടാതെയോ പ്രായോഗികമായി ദുർബലത എങ്ങനെ ചൂഷണം ചെയ്യാമെന്ന് പൂർണ്ണമായും വ്യക്തമല്ല.

87.0.0.1 (ടെലികോം ഇറ്റാലിയ), 0177.0.0.1 (ബ്രസീൽ ടെലികോം) എന്നിവയുടെ ഉടമകൾക്ക് 127.0.0.1 എന്നതിലേക്കുള്ള പ്രവേശന നിയന്ത്രണം മറികടക്കാൻ കഴിയുമെന്ന് ഗവേഷകർ അനുമാനിക്കുന്നു. വിവിധ ആപ്ലിക്കേഷൻ-സൈഡ് ബ്ലോക്ക് ലിസ്റ്റുകളെ മറികടക്കാനുള്ള അപകടസാധ്യത ചൂഷണം ചെയ്യുക എന്നതാണ് കൂടുതൽ യാഥാർത്ഥ്യമായ ഒരു സാഹചര്യം. എൻ‌പി‌എം മൊഡ്യൂളായ "പ്രൈവറ്റ്-ഐ‌പി" ലെ ഇൻ‌ട്രാനെറ്റ് ശ്രേണികളുടെ നിർവ്വചനം പങ്കിടുന്നതിനും ഈ പ്രശ്നം പ്രയോഗിക്കാവുന്നതാണ്.

അവലംബം: opennet.ru